メインコンテンツまでスキップ
に最終更新

Lakewatchをエンドツーエンドで確認する

備考

プレビュー

Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

このガイドでは、データの取り込みから検出ルールの実行、アラートの調査、システムのモニタリングまで、Lakewatchのコアワークフローをエンドツーエンドで説明します。

データの取り込みとスキーマ化​

Lakewatchはデータソースを使用してデータを取り込みます。データソースは、取り込み方法(生データを読み取る方法)と1つ以上のパーサー(生データを管理テーブルにスキーマ化するパーサー)を組み合わせます。UIでデータソースを作成および管理できます。

以下の3つの方法のいずれかを使用して生データを取り込みます：

  • クラウドストレージ : サポートされているオブジェクトストア（S3バケットまたは/Volumes/パスなど）内のファイルを指します。
  • 既存のテーブル ：データをコピーせずに、ワークスペースに既に存在するUnity Catalogのテーブルまたはビューを取り込みます。
  • APIコネクタ ： マネージド コネクタを使用して、CrowdStrike、OktaなどのSaaSアプリケーションからデータを直接プルします。

パーサーを使用して生データをスキーマ化します。各パーサーはログソースの出力列を記述し、Lakewatchで管理されるlw_id、lw_meta、およびlw_observables列を含む解析済みテーブルを書き込みます。受信イベントは最初のマッチングパーサーに分類され、マッチングしないイベントはデッドレターセンチネルにルーティングされます。解析されたテーブルは、検出ルールとクエリーを使用したセキュリティ分析の準備ができています。

詳細については、「データソースの作成と管理」を参照してください。

検出ルールの作成とラン​

検出ルール に移動して、検出ルールを作成します。MITRE ATT&CKフレームワークまたはカスタムフレームワークを使用してルールを分類し、処理スケジュールを設定し、シグナル出力を定義できます。

Lakewatch検出ルールは、SQLまたはSQLパイプ構文で作成されます。

詳細は、「検出ルール」を参照してください。

アラートの調査​

検出ルールは、イベントが基準に一致したときにシグナルを生成します。Lakewatchは関連するシグナルを自動的に相関させてアラートにします。 アラート に移動して、アラートを表示、割り当て、管理します。アラートを開いて、そのシグナルとそれをトリガーした検出ルールを確認します。

アラートをServiceNow、Tines、webhook、またはJiraにエクスポートしたり、Genieを使用してアラートのトリアージを行ったりすることもできます。

詳細については、「 アラート」を参照してください。

データのクエリー​

セキュリティデータに対してSQLクエリーをランするには、 クエリー に移動します。クエリーページは、時間範囲フィルタリング、ノーコードの調整、タイムライン表示、詳細な行検査をサポートしています。

詳細については、「 データのクエリー 」を参照してください。

Genieで調査する​

Genieを使用すると、自然言語を使ってセキュリティイベントを調査できます。

  • Genie Code は、Lakewatch UI全体で利用できるAIアシスタントです。これを使用して、SQLクエリーの記述、検出ルールの作成、データソースの探索などを行います。左側のメニューで Genie をクリックするか、右上隅のGenieアイコンをクリックして、どのページの横でも開きます。詳細については、 Genie Codeのプロンプト例」を参照してください。

  • Genie Agent は、Genie Research Agentを使用した詳細な調査作業のための専用環境を提供します。解析されたテーブルとシステムテーブルをGenie Agentに接続し、多段階の推論、SQL生成、MITRE ATT&CKマッピングを使用して脅威を調査します。詳細については、「脅威インテリジェント用のGenie Agentの構成」を参照してください。

システムの正常性を監視する​

Lakewatchがシステムの正常性や構成の問題を検出すると、システムイベントが生成され、システムエラーにグループ化されます。 システムエラー に移動して、システムエラーとそれに関連するイベントを表示、割り当て、管理します。

詳細については、「システムエラー」を参照してください。

概要ページ​

概要ページはLakewatchのホームページであり、インジェスト、検出、およびアラートのアクティビティを要約し、Genieへの高速パスを提供します。

このページの見出し